26. Juli 2026GrundlagenLesezeit 7 Min

Sichere Passwörter und Passwort-Manager, ohne Esoterik

Sonderzeichen-Pflicht und Wechsel alle drei Monate sind offiziell Geschichte. Was heute wirklich zählt, und warum ein Passwort-Manager trotz seiner Macken richtig ist.

Die gute Nachricht zuerst: Die meisten Passwortregeln, an denen du dich seit Jahren abarbeitest, gelten offiziell nicht mehr. Kein Zeichensalat, kein Wechsel alle drei Monate. Die Stellen, die diese Regeln einst aufgestellt haben, haben sie selbst wieder eingesammelt.

Die alten Regeln sind abgeschafft, und zwar von oben

Das US-amerikanische NIST hat seine Richtlinie SP 800-63B-4 im Juli 2025 veröffentlicht. Darin steht wörtlich: „Verifiers and CSPs SHALL NOT impose other composition rules (e.g., requiring mixtures of different character types) for passwords." Ein Dienst darf dir also nicht mehr vorschreiben, dass ein Großbuchstabe, eine Ziffer und ein Sonderzeichen enthalten sein müssen. Genauso deutlich fällt der Satz zum Wechselzwang aus: „Verifiers and CSPs SHALL NOT require subscribers to change passwords periodically." Gewechselt wird nur mit Anlass, also wenn es Hinweise auf eine Kompromittierung gibt.

Was stattdessen zählt, ist Länge. NIST verlangt mindestens 15 Zeichen für ein Passwort, das allein schützt. Ist es nur einer von zwei Faktoren, dürfen es acht sein. Und er soll jedes neue Passwort gegen eine Liste bekannter, geleakter oder häufig genutzter Passwörter prüfen.

Das BSI sieht es genauso. Zum Ändere-dein-Passwort-Tag schrieb es am 31. Januar 2025: „Regelmäßige, anlassunabhängige Passwortwechsel führen erfahrungsgemäß dazu, dass zunehmend schwächere Passwörter genutzt werden. Sie sollten auch durch Dritte, etwa durch Arbeitgeberinnen und Arbeitgeber, nicht gefordert oder technisch erzwungen werden."

Drei zufällige Wörter, besser sechs

Wenn nicht Sonderzeichen, was dann? Das britische NCSC empfiehlt eine Methode, die man sich tatsächlich merken kann: „Combine three random words to create a password that's 'long enough and strong enough'." Zur beliebten Bastelei mit Zeichenersatz, Null statt O und Klammeraffe statt A, sagt es unmissverständlich: „cyber criminals know these tricks as well. So your password won't be significantly stronger, but it will be harder for you to remember." Der Grund für die ganze Kehrtwende steht im selben Text: „memorising lots of complex passwords is almost impossible."

Wer es genauer will, würfelt. Die EFF stellt Wortlisten bereit, aus denen du mit fünf Würfeln je ein Wort bestimmst. Ihre Empfehlung: „We recommend selecting a minimum of six words from our long wordlist." Sechs so gewürfelte Wörter sind laut EFF eine von rund 2⁷⁷ Möglichkeiten. Entscheidend ist, dass der Zufall aus dem Würfel kommt, nicht aus deinem Kopf: Was du dir ausdenkst, denken sich andere auch.

Der Passwort-Manager, samt seiner Macken

Ein langes, eigenes Passwort für jedes Konto kann sich niemand merken. Deshalb der Manager. Ehrlich ist aber auch: Er ist der eine Punkt, an dem plötzlich alles hängt. Das BSI hat mit dem FZI Forschungszentrum Informatik zehn Passwortmanager untersucht und am 9. Dezember 2025 veröffentlicht: „Drei von zehn der untersuchten Passwortmanager speicherten Passwörter in einer Weise, die Herstellern theoretisch den Zugriff ermöglicht."

Dass das nicht theoretisch bleiben muss, hat LastPass gezeigt. Im Dezember 2022 teilte der Anbieter mit, ein Angreifer habe eine Sicherung der Kundentresore kopiert. Die Website-Adressen lagen darin unverschlüsselt, Benutzernamen und Passwörter verschlüsselt, zu öffnen nur mit dem Schlüssel aus dem Masterpasswort, das LastPass nach eigener Darstellung nie kennt. Wer dort ein schwaches Masterpasswort verwendet hatte, war angreifbar.

Und trotzdem bleibt das BSI bei der Empfehlung, ausdrücklich: „Doch die Defizite der Passwortmanager sind kein Grund, auf diese zu verzichten. Aus Sicht des BSI überwiegt der Nutzen bei weitem." Begründet wird das mit der Alternative, denn ohne Manager landet man bei wiederverwendeten und schwachen Passwörtern, „…die Risiken, keine Passwortmanager zu nutzen, deutlich größer sind als die Implementierungsmängel einzelner Produkte". Auch NIST steht auf dieser Seite: Dienste „SHALL allow the use of password managers and autofill functionality", weil Manager nachweislich zu stärkeren Passwörtern führen.

Das eine Passwort, das du selbst können musst

Bleibt das Masterpasswort, und genau dafür ist die Würfel-Passphrase gemacht. Die EFF schreibt, eine Passphrase eigne sich besonders, „when directly used to encrypt information", und nennt das Entsperren eines Passwort-Safes ausdrücklich als Anwendungsfall. Der Unterschied zum Online-Konto ist wichtig: Dort ist die Zahl der Rateversuche begrenzt. Liegt dagegen eine verschlüsselte Datei beim Angreifer, rät er offline weiter, so schnell seine Hardware es hergibt.

Der Preis steht beim BSI daneben: Geht das Masterpasswort verloren, sind im schlechtesten Fall alle Daten verloren. Schreib es also auf, aber dorthin, wo auch dein Ausweis liegt. Das NCSC sieht das genauso: „If you want to write your password down, that's also OK, provided you keep it somewhere safe."

Und ist deins längst geleakt?

Das lässt sich prüfen, ohne das Passwort herzugeben. Der Dienst Pwned Passwords nutzt ein Verfahren namens k-Anonymity, „to let you check whether a password has been seen before without ever sending the full password or its complete hash to the service". Dein Browser bildet den Hash lokal und schickt nur dessen erste fünf Zeichen; verglichen wird auf deiner Seite. Das erfüllt NISTs Blocklist-Pflicht aber nur zum Teil, denn dort zählen auch Wörterbuchwörter und Begriffe rund um den Dienst dazu.

Wo wir bei PriChat selbst danebenliegen

PriChat verlangt bei der Registrierung mindestens acht Zeichen plus Groß- und Kleinbuchstabe, Ziffer und Sonderzeichen. Das sind exakt die Kompositionsregeln, die NIST untersagt, und acht Zeichen liegen deutlich unter den geforderten fünfzehn. Einen Abgleich gegen Leak-Listen haben wir gar nicht. Beides steht so im Code, beides ist ein offener Punkt und keine Empfehlung.

Was wir für richtig halten: Dein Passwort ist bei uns kein bloßes Türschild. Aus ihm entsteht der Schlüssel, mit dem deine Nachrichten im Browser verschlüsselt werden, über PBKDF2-SHA256 mit 600.000 Runden, bei älteren Konten 200.000. Das macht genau das Offline-Raten teuer, um das es oben ging. Dein Passwort bekommt der Server nie zu sehen, nur ein daraus abgeleitetes Anmelde-Token, das er mit Argon2 hasht. Zweiter Faktor per Authenticator-App und Anmeldung per Passkey sind vorhanden. Zurücksetzen können wir dein Passwort nicht: Das kann nur deine Wiederherstellungsphrase, denn beim Server liegt lediglich ein verschlüsselter Wiederherstellungs-Block, den er selbst nicht öffnen kann.

Was das für dich heißt

• Hör auf, Passwörter ohne Anlass zu wechseln. Wechsle sofort, wenn ein Dienst ein Leck meldet oder dir etwas seltsam vorkommt.
• Nimm einen Passwort-Manager und lass ihn die Passwörter erzeugen. Welchen du nimmst, ist zweitrangig. Ob du überhaupt einen nutzt, ist es nicht.
• Für das Masterpasswort und für alles, was direkt etwas verschlüsselt: sechs zufällige Wörter, gewürfelt statt ausgedacht.
• Schalte einen zweiten Faktor ein oder nutze Passkeys, wo es sie gibt. Auch ein gutes Passwort bleibt nur ein Faktor.

← Zurück zum Ratgeber